금융권에서 잇따른 해킹 공격으로 16개 금융회사의 침해사고가 확인되고 개인정보 유출 규모가 약 10만 건에 이른 가운데, 금융당국이 최고경영자(CEO)의 보안관리 책임을 강화하는 등 대책 마련에 나섰다.

전 금융권 555개사를 대상으로 진행한 긴급 보안점검에서는 130곳(23.4%)이 보안 미흡사항을 보고했다. 금융당국은 금융회사의 보안점검 주기를 확대하고 위협정보 공유체계를 강화하는 한편, 보안 역량이 부족한 중소형 금융회사를 위한 공동 보안시스템 구축도 추진하기로 했다.

금융위원회는 14일 정부서울청사에서 신진창 사무처장 주재로 '제2차 긴급 상황대응 회의'를 열고 금융권 침해사고 조사 경과와 보안관리 강화 방안을 논의했다고 밝혔다.

금융당국에 따르면 최근 신한은행 침해사고 전후로 해킹 피해가 확인된 업체는 모두 16곳이다.

은행권에서는 신한은행과 KB국민은행, BNK부산은행, 하나은행 등 4곳, 저축은행에서는 예가람·웰컴·DB·OK저축은행 등 4곳이 포함됐다.

여신전문금융업권에서는 현대캐피탈과 산은캐피탈, 온라인투자연계금융업권에서는 PFCT와 모우다에서 사고가 확인됐다. 가상자산사업자인 스트리미와 프라뱅, 전자금융업체 브라이트픽스, 새마을금고중앙회도 피해 업체에 포함됐다.

현재까지 확인된 개인정보 유출 규모는 약 10만 건으로 이름과 연락처, 주민등록번호, 이메일 등이 포함됐다. 다만 계좌번호와 카드번호 등 직접적인 부정결제로 이어질 우려가 있는 정보의 유출은 확인되지 않았다.

금융당국은 추가 침해 여부를 확인하고 있어 피해 업체가 늘어날 가능성도 있다고 설명했다. 금감원과 금융보안원은 동일 공격 주체의 소행인지, 인공지능(AI)을 활용한 해킹이 있었는지 등도 조사하고 있다.

금융권 자체 보안점검에서도 다수의 미흡사항이 드러났다.

금융당국은 지난 2일 열린 1차 긴급 상황대응 회의에서 전 금융권에 보안점검을 지시했다. 이에 따라 금융회사 555곳이 8일까지 12개 항목의 체크리스트를 활용해 자체점검을 진행했다.

그 결과 425곳은 적정하다고 보고했지만 130곳(23.4%)은 하나 이상의 항목에서 보완이 필요하다고 밝혔다. 특히 전자금융업과 온라인투자연계금융업에서 미흡사항이 비교적 많이 확인됐다.

주요 문제점은 최신 보안패치 미적용과 기술지원이 종료된 노후 시스템 관리 미흡, 24시간 실시간 보안관제체계 미구축 등이었다. 외부 노출 시스템의 접근통제가 미흡하거나 중요 서비스에 다중인증(MFA)을 도입하지 않은 사례도 있었다.

해당 금융회사들은 보안패치 적용과 노후 장비 교체, 보안관제 인력 확충 등의 보완계획을 제출했다.

금융당국은 보안관리체계 전반을 재점검하고 CEO와 최고정보보호책임자(CISO), 최고정보책임자(CIO)의 보고체계 및 책임범위를 명확히 하기로 했다. 보안점검 결과가 실제 개선으로 이어지도록 CEO 책임 강화와 제재 실효성 제고를 위한 제도개선도 추진한다.

금융회사들이 자체적으로 발견한 해킹 위협정보를 통합관제시스템으로 공유하고 AI를 활용한 위협수준 분석과 취약점 점검체계도 구축한다.

대형 금융회사의 보안 취약점 점검 주기는 현행 연 1회에서 연 2회 이상으로 확대할 계획이다. 긴급한 경우 수시점검을 실시할 수 있는 근거 마련도 검토한다.

중소형 금융회사에 대해서는 금융보안원과 업권별 협회·중앙회가 공동 보안관제시스템을 구축하는 방안을 검토하고 맞춤형 보안점검 및 대응 지침을 마련하기로 했다.

신 사무처장은 "롯데카드 정보유출, 미토스 쇼크 등 다양한 계기로 수차례에 걸쳐 전수점검과 관리 강화를 주문했음에도 금융회사에서 기본적인 부분이 잘 지켜지지 않는 사례가 발견된 것은 매우 뼈아픈 부분"이라고 지적했다.

이어 "금융회사 외부접점·인증관리 등 공격표면 관리뿐 아니라 전 금융권의 보안관제 체계, CEO·이사회 등 책임성 확보 등 보안체계 전반에 대한 철저한 재점검과 근본적 제도개선이 이뤄지도록 최선을 다하겠다"고 말했다.